6

我一直在阅读（并观看视频），了解如何在使用包含大量 ajax 调用的 MVC Core 应用程序时最好地实现访问和刷新令牌。我想我做对了，但只是想知道是否有更好的方法来做到这一点。我将编辑这篇文章，以便它可以作为任何寻找此信息的人的参考。

我的设置：我有一个包含大量 JavaScript 的 MVC Core 应用程序。JavaScript 使用 ajax 调用来检索 json 或调用操作。

因为我不希望我的用户能够使用 cookie 身份验证访问我的 api，所以我使用 app.Map 将我的应用程序分成两部分。一种是用户可以使用身份令牌访问视图，另一种是需要访问令牌。我还添加了一个 cookie 来保存我需要刷新访问令牌的时间。

Startup.cs（我删除了不重要的部分）

  app.UseCookieAuthentication(new CookieAuthenticationOptions
  {
    AuthenticationScheme = "Cookies",
    AutomaticAuthenticate = true,
    ExpireTimeSpan = TimeSpan.FromMinutes(60)
  });

  JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();

  var oidcOptions = new OpenIdConnectOptions
  {
    AuthenticationScheme = "oidc",
    SignInScheme = "Cookies",

    Authority = LoginServerUrl,
    RequireHttpsMetadata = false,
    ClientId = "MyApp",
    ClientSecret = "*****",
    ResponseType = "code id_token",
    SaveTokens = true,
    Events = new OpenIdConnectEvents()
    {
      OnTicketReceived = async notification =>
      {
        notification.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
        notification.Response.Cookies.Delete("AccessToken");
      },
    },

    TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
    {
      NameClaimType = JwtClaimTypes.Name,
      RoleClaimType = JwtClaimTypes.Role,
    },
  };

  oidcOptions.Scope.Clear();
  oidcOptions.Scope.Add("openid");
  oidcOptions.Scope.Add("roles");
  oidcOptions.Scope.Add("offline_access");

  app.UseOpenIdConnectAuthentication(oidcOptions);

  app.Map("/api", (context) =>
  {
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
  });

对控制器操作的所有 ajax 调用都是使用以下 url /api/[Controller]/[Action] 完成的。

我不希望使用身份令牌访问我的 api，因此我还将 Authorize(ActiveAuthenticationSchemes = "Bearer") 属性添加到控制器操作中。所以现在我的被 javascript 调用的控制器操作看起来像这样：

[HttpPost, Authorize(ActiveAuthenticationSchemes = "Bearer")]
public async Task<JsonResult> DoStuff()
{
}

当 javascript 需要访问 api 资源时，控制器首先检索访问令牌并使用自定义 javascript init 方法将其注入 javascript。

此 C# 方法负责刷新和检索访问 cookie。

public async Task<string> GetAccessTokenAsync()
{
  var accessToken = _contextAccessor.HttpContext.Request.Cookies["AccessToken"];
  var nextAccessTokenRefresh = _contextAccessor.HttpContext.Request.Cookies["NextAccessTokenRefresh"];
  if (string.IsNullOrEmpty(nextAccessTokenRefresh) || string.IsNullOrEmpty(accessToken) || DateTime.Parse(nextAccessTokenRefresh) <= DateTime.Now)
  {
    var refreshToken = await _contextAccessor.HttpContext.Authentication.GetTokenAsync("refresh_token");
    var tokenClient = new TokenClient(_appSettings.LoginServerUrl + "/connect/token", _appSettings.LoginClientId, _appSettings.LoginClientSecret);
    var response = await tokenClient.RequestRefreshTokenAsync(refreshToken);
    accessToken = response.AccessToken;

    //Set cookies for next refresh
    _contextAccessor.HttpContext.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
    _contextAccessor.HttpContext.Response.Cookies.Append("AccessToken", response.AccessToken);
  }

  return accessToken;
}

在我所有的 $.ajax 上，我添加了以下参数：

beforeSend: function(xhr, settings) { xhr.setRequestHeader('Authorization','Bearer ' + accessToken); }

而已。默认访问令牌到期时间为一小时。我总是在一半之后刷新它。

现在我的问题：

  1. 我可以以任何方式改进我的代码吗？
  2. 您是否看到这样做有任何与安全相关的风险？
  3. 我可以在 OnTicketReceived 中检索访问令牌吗？
4

1 回答 1

3

我可以以任何方式改进我的代码吗？

您Startup.cs应该是这样的（因为Map仅适用于“/api”路径。有关更多信息，请参阅https://docs.asp.net/en/latest/fundamentals/middleware.html#run-map-and-use）：

app.MapWhen(context => !context.Request.Path.Value.StartsWith("/api"), builder=>
{
    app.UseCookieAuthentication(options);
    ...
    app.UseOpenIdConnectAuthentication(oidcOptions);
    ....
});

app.MapWhen(context => context.Request.Path.Value.StartsWith("/api"), builder=>
{
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
});

第二点，您的 cookie 过期时间为 60 分钟，在这种情况下，您的刷新令牌的生命周期为 60 分钟。我认为这可能是个问题。

您是否看到这样做有任何与安全相关的风险？

我没有足够的使用刷新令牌的经验，所以我不能说你的实现是否安全。但我认为刷新令牌（用于您的实现）增加了复杂性也增加了安全风险（这只是我的观点，我不是安全专家）。我只会使用具有隐式流的长期访问令牌（因为简单）。

我可以在 OnTicketReceived 中检索访问令牌吗？

是的你可以：

OnTicketReceived = ctx =>
{
     var token = ctx.Ticket.Properties.GetTokenValue("access_token");
     ...
}
于 2016-10-02T06:47:51.023 回答